Una variante previamente no documentada y en su mayor\u00eda no detectada de una puerta trasera de Linux llamada BPFPuerta<\/strong> ha sido detectado en la naturaleza, dijo la firma de ciberseguridad Deep Instinct en un informe t\u00e9cnico publicado esta semana.<\/p>\n “BPFDoor conserva su reputaci\u00f3n como un malware extremadamente sigiloso y dif\u00edcil de detectar con esta \u00faltima iteraci\u00f3n”, dijeron los investigadores de seguridad Shaul Vilkomir-Preisman y Eliran Nissan. dicho<\/a>.<\/p>\n BPFDoor (tambi\u00e9n conocido como JustForFun), documentado por primera vez por PwC<\/a> y Laboratorios de seguridad el\u00e1stica<\/a> en mayo de 2022, es una puerta trasera pasiva de Linux asociada con un actor de amenazas chino llamado menshen rojo<\/a> (tambi\u00e9n conocido como Arquitecto Decisivo<\/a> o Red Dev 18), que se sabe que destaca a los proveedores de telecomunicaciones en Medio Oriente y Asia desde al menos 2021.<\/p>\n El malware est\u00e1 espec\u00edficamente dirigido a establecer acceso remoto persistente<\/a> a entornos de destino comprometidos durante largos per\u00edodos de tiempo, con evidencia que apunta a que el equipo de pirater\u00eda oper\u00f3 la puerta trasera sin ser detectado durante a\u00f1os.<\/p>\n BPFDoor recibe su nombre del uso de Berkeley Packet Filters (BPF<\/a>) \u2013 una tecnolog\u00eda que permite analizar y filtrar el tr\u00e1fico de red en sistemas Linux \u2013 para comunicaciones de red y procesar comandos entrantes.<\/p>\n Al hacerlo, los actores de amenazas pueden penetrar en el sistema de una v\u00edctima y ejecutar c\u00f3digo arbitrario sin ser detectados por los firewalls, al mismo tiempo que filtran datos innecesarios.<\/p>\n Los hallazgos de Deep Instinct provienen de un BPFArtefacto de puerta<\/a> que se carg\u00f3 en VirusTotal el 8 de febrero de 2023. Al momento de escribir, solo tres proveedores de seguridad han marcado el binario ELF como malicioso.<\/p>\n Una de las caracter\u00edsticas clave que hacen que la nueva versi\u00f3n de BPFDoor sea a\u00fan m\u00e1s evasiva es la eliminaci\u00f3n de muchos indicadores codificados y, en su lugar, la incorporaci\u00f3n de una biblioteca est\u00e1tica para el cifrado (libtomcrypt<\/a>) y un shell inverso para la comunicaci\u00f3n de comando y control (C2).<\/p>\n Tras el lanzamiento, BPFDoor est\u00e1 configurado para ignorar varios se\u00f1ales del sistema operativo<\/a> para evitar que se termine. A continuaci\u00f3n, asigna un b\u00fafer de memoria y crea un socket de detecci\u00f3n de paquetes especial que supervisa el tr\u00e1fico entrante con un determinado Secuencia de bytes m\u00e1gicos<\/a> conectando un filtro BPF en el z\u00f3calo sin formato.<\/p>\n “Cuando BPFdoor encuentra un paquete que contiene sus Magic Bytes en el tr\u00e1fico filtrado, lo tratar\u00e1 como un mensaje de su operador y analizar\u00e1 dos campos y se bifurcar\u00e1 nuevamente”, explicaron los investigadores.<\/p>\n “El proceso principal continuar\u00e1 y monitorear\u00e1 el tr\u00e1fico filtrado que ingresa a trav\u00e9s del socket, mientras que el proceso secundario tratar\u00e1 los campos analizados previamente como una combinaci\u00f3n de puerto IP de comando y control e intentar\u00e1 contactarlo”.<\/p>\n Aprenda a detener el ransomware con protecci\u00f3n en tiempo real<\/p>\n \u00danase a nuestro seminario web y aprenda c\u00f3mo detener los ataques de ransomware en seco con MFA en tiempo real y protecci\u00f3n de cuenta de servicio.<\/p>\n Guardar mi asiento!<\/a><\/div>\n En la etapa final, BPFDoor establece una sesi\u00f3n de shell inversa cifrada con el servidor C2 y espera que se ejecuten m\u00e1s instrucciones en la m\u00e1quina comprometida.<\/p>\n El hecho de que BPFDoor haya permanecido oculto durante mucho tiempo habla de su sofisticaci\u00f3n, ya que los actores de amenazas desarrollan cada vez m\u00e1s malware dirigido a los sistemas Linux debido a su prevalencia en entornos empresariales y de nube.<\/p>\n El desarrollo viene como Google Anunciado<\/a> un nuevo filtro de paquetes de Berkeley ampliado (eBPF<\/a>) marco fuzzing llamado Zumbador<\/a> para ayudar a fortalecer Linux n\u00facleo<\/a> y garantizar que los programas de espacio aislado que se ejecutan en un contexto privilegiado sean v\u00e1lidos y seguros.<\/p>\n El gigante tecnol\u00f3gico dijo adem\u00e1s que el m\u00e9todo de prueba condujo al descubrimiento de un falla de seguridad<\/a> (CVE-2023-2163) que podr\u00eda explotarse para lograr lecturas y escrituras arbitrarias de la memoria del kernel.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/1682966412_237_APT28-apunta-a-entidades-gubernamentales-ucranianas-con-falsificaciones-quotactualizacion-de.png\")
<\/a><\/center><\/div>\n![\"Puerta](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/05\/1683912774_796_Nueva-variante-sigilosa-de-Linux-Backdoor-BPFDoor-emerge-de-las.png\" "\\"Puerta")
<\/div>\n